8. Pro ochranu osobních dat (navíc tak citlivého charakteru, jako jsou statusové informace spojené se zdravotními údaji) je přitom třeba bedlivě dbát pokynů ústavodárce podle čl. 4 Listiny. Rozsah zpracovávaných osobních údajů musí být omezen na to, co je nezbytné pro dosažení účelu zásahu do tohoto práva. NZIS je veden "za účelem získání informací o rozsahu a kvalitě poskytovaných zdravotních služeb, pro řízení zdravotnictví a tvorbu zdravotní politiky, včetně zajištění transparentnosti poskytování a financování zdravotních služeb, zajištění rovného přístupu k zdravotním službám a hodnocení indikátorů kvality a bezpečnosti zdravotních služeb". Účely zdravotnických registrů jakožto součástí NZIS jsou pak uvedeny v § 73 odst. 1 zákona č. 372/2011 Sb., o zdravotních službách a podmínkách jejich poskytování (zákon o zdravotních službách), ve znění pozdějších předpisů.
9. Jak již bylo zmíněno výše, respektujeme, že tam uvedené účely omezení jsou legitimní. Z požadavku účelového omezení a minimalizace zásahu do práva na soukromí by však měla vždy vyplývat též vazba mezi sledovaným legitimním účelem a jemu odpovídajícím nezbytným rozsahem zpracování osobních údajů. Není přitom zřejmé (ani z důvodové zprávy, ani z vyjádření vlády či ÚZIS), jaká data jsou pro jaký účel nezbytná a za jakých okolností jsou použitelná. V návaznosti na takovou koncepci by navíc mohlo být také stanoveno, že pro účely statistiky a vědy či výzkumu je možné použít např. pouze data anonymizovaná nebo pseudoanonymizovaná, že k určitým datům je možno přistupovat pouze za určitým účelem a může tak činit pouze omezený okruh subjektů či osob. K některému účelu by pak bylo možno např. použít i data ze základních registrů, k jinému nikoliv. Samotná existence zdravotnického registru je dle našeho názoru v zákoně uvedenými účely odůvodněna, ale pouhé plošné uvedení rozsahu zpracování a pouhé vyjmenování účelů, k jakým mohou být všechna obsažená (a další poskytnutá) data využita, nenaplňuje zásadu proporcionality již v jeho druhém kroku (potřebnost) a nevede k sebeomezení správce dat minimalizovat zásahy do soukromí dotčených osob.
10. Rozhodnutí většiny pléna připouští, že jeden z kroků testu proporcionality spočívá v tom, že se posuzuje nezbytnost zásahu do základního práva. K tomu se však v odůvodnění pouze uvádí, že "u žádného z údajů evidovaných v některém ze zdravotnických registrů Ústavní soud neshledal jeho zjevnou nedůvodnost, resp. nadbytečnost. Jistě by bylo možné představit si i právní úpravu, která by obsahovala podstatně užší rozsah osobních údajů evidovaných v jednotlivých zdravotnických registrech. Takto úžeji vymezený rozsah evidovaných údajů by však nemusel představovat plnohodnotnou a reálnou alternativu k zákonodárcem zamýšleným legitimním cílům" (bod 159). Tímto závěrem se plénum vypořádalo v jediném (!) odstavci s pochybami, zda opravdu všechny shromažďované údaje jsou nezbytné, aniž by však soud obdržel od zúčastněných státních orgánů vysvětlení na konkrétní otázky, které jim položil a které se týkají sporných informací, a vedl konkrétní úvahu k jednotlivým do databází zařazeným osobním údajům.
11. Navíc, považujeme tento odstavec za obsahově odporující závěru obsaženému v bodu 156, kde je uvedeno, že se Ústavní soud "(nejen) s ohledem na koncepci návrhu na zrušení části zákona o zdravotních službách nezabýval izolovaně ústavností každého jednotlivého údaje obsaženého ve zdravotnických registrech, nýbrž posuzoval ústavnost napadené právní úpravy komplexně, tzn. zabýval se NZIS coby jednotným celostátním informačním systémem veřejné správy (§ 70 odst. 1 zákona o zdravotních službách), resp. zdravotnickými registry jako jeho součástmi, jež ,vytvářejí vzájemně propojenou soustavu´ (§ 72 téhož zákona), v jejich celku. Možnost případného přezkumu konkrétního použití těchto ustanovení z výše uvedených ústavněprávních hledisek v řízení o ústavních stížnostech zůstává nedotčena". Většina pléna tak na jedné straně konstatuje, že se vůbec nezabývala ústavností jednotlivých údajů, které jsou v systému shromažďovány, avšak na straně druhé přesto uvedla, že žádný z těchto údajů není evidován zjevně nedůvodně. Máme za to, že tato tvrzení vedle sebe logicky nemohou obstát: buď se totiž Ústavní soud důvodností shromažďovaných údajů vůbec nezabýval, anebo u žádného z nich neshledal zjevnou nedůvodnost.
12. Mít "všeobjímající a vševědoucí" databázi je pro stát nepochybně velmi výhodné a je způsobilé dosáhnout vytyčených cílů informovanosti o zdravotních službách a zdravotním stavu populace. Kritérium testu proporcionality, označované jako "nezbytnost", však nelze odbýt pouhým konstatováním, že chyběl-li by v databázi jakýkoliv jeden údaj, nejednalo by se o "plnohodnotnou a reálnou alternativu" (bod 159). Zaprvé si lze zcela jistě představit, že pokud by řada konkrétních údajů chyběla (např. údaj o tom, zda je osoba v manželském svazku či nikoliv, zda se narodila v České republice či nikoliv, jaký stupeň osvojení má ve vztahu ke svým rodičům), tak by mnohé ze sledovaných účelů byly dosaženy stejně plnohodnotně (některé skutečně možná méně, ale pak jsme opět u otázky správného navázání jednotlivých účelů a rozsahu zpracování pro daný účel). Účelem však není mít databázi, která bude "vědět co nejvíce", nýbrž zákonodárce (a tím spíše pak Ústavní soud!) musí k problému přistupovat přesně z opačné pozice: podle logiky, "co už tam nezbytně být nemusí, a přesto bude zachována srovnatelná funkčnost". Rozhodným kritériem proto nemá být to, je-li zpracování osobních údajů "zjevně nedůvodné" (bod 159), nýbrž je-li nezbytné pro dosažení účelu - požadovaný osobní údaj tedy nemusí být zjevně nedůvodný, ale zároveň může být pro dosažení účelu zbytný. Právě v tom totiž spočívá podstata druhého kroku prováděného testu proporcionality, na který však bohužel většina pléna zcela rezignovala.
13. Ze všech účelů, které jsou v zákoně vymezeny (§ 70 odst. 1 a § 73 odst. 1), se nabízí jediný účel, který by zřejmě odůvodňoval potřebu identifikovat konkrétní pacienty [§ 73 odst. 1 písm. c)]. Všech ostatních účelů je však možné podle našeho názoru dosáhnout na základě analýzy více či méně agregovaných dat (tj. anonymizovaných údajů, které budou pro ten který účel zahrnovat různý rozsah informací) - někdy půjde o více socio-demografická data pacienta, někdy např. o rodinnou anamnézu, ale nikdy k tomu nebude nutné znát spoustu dalších zbytných informací - včetně jednoznačných identifikátorů (jímž je rodné číslo dotčené osoby) k tomu. Řešením by např. mohlo být, aby kmenová data v původní neanonymní podobě byla pouze u poskytovatelů zdravotní péče nebo pojišťoven a statistický ústav by z nich dostával již jen příslušné soubory dat bez konkrétní identifikace pacienta. Zásadní problém tak spatřujeme v tom, že zákon udává celou řadu účelů pro NZSI jako celek i pro jednotlivé zdravotnické registry. Rozsah zpracování osobních údajů přitom není dostatečně jednoznačně navázán na konkrétní účely, takže není dost dobře myslitelné ani vytvoření jakýchkoliv dalších záruk pro zpracování, jelikož systém je nastaven tak, že NZSI obsahuje "vše" a statistický ústav data může používat zcela volně ke všem vyjmenovaným účelům bez ohledu na to, zda se jedná o nejcitlivější data konkrétní osoby (například o její sexualitě či genetických vadách).
14. Takovýto soubor informací, z nichž lze zjistit tolik údajů o každé osobě, je potenciálně zneužitelným nástrojem pro ovládnutí konkrétního života jednotlivce. V posuzovaném zákoně přitom absentují dostatečné záruky, resp. způsoby pro zajištění práv subjektů údajů. Ze zákona kupř. není jasné, jaké jsou mechanismy pro uplatnění práv, kdo za co odpovídá, kdo a jak postupuje při výkonu práv, kdo poskytuje dotčeným jednotlivcům (tedy subjektům údajů ve smyslu GDPR) informace o zpracování, jakým způsobem je možné vykonat právo na opravu nepřesných či neaktuálních údajů, podat námitku proti zpracování atd. Pokud by takovéto zpracování a sdílení osobních údajů prováděly soukromé osoby, byly by v postavení tzv. společných správců osobních údajů a jako takovým by jim z GDPR plynula povinnost stanovená v čl. 26: "Společní správci mezi sebou transparentním ujednáním vymezí své podíly na odpovědnosti za plnění povinností podle tohoto nařízení, zejména pokud jde o výkon práv subjektu údajů, a své povinnosti poskytovat informace uvedené v článcích 13 a 14...". Posuzovaná právní úprava však nestanoví ani tyto minimální požadavky, přičemž stát by měl být zavázán k ochraně osobních dat podobně jako soukromí zpracovatelé ve smyslu GDPR, neboť z hlediska potenciality zásahu do základních práv osoba zpracovatele není rozhodujícím faktorem. Například princip transparentnosti - tzn. jednotlivci (subjekty údajů) by měli být vždy informováni o zpracování osobních údajů - zákon žádným způsobem neřeší a celé zpracování je pro ně netransparentní.
15. Problematické z hlediska dostatečných záruk je také široké oprávnění přístupu k osobním údajům pro "oprávněného pracovníka" dle definice obsažené v § 73 odst. 2 zákona o zdravotních službách. Obecně by osobní údaje měly být zpracovávány na principu, že má údaj dostat jen ten, kdo věrohodně prokáže potřebu přístupu ke konkrétně specifikovanému údaji (need-to-know), což ale v zákoně explicitně není uvedeno, zákon nestanoví dostatečně konkrétní požadavky na to, kdo je oprávněným pracovníkem a nechává v zásadě na uvážení statistického ústavu, komu přístup umožní a komu nikoliv (opět zcela netransparentně).
16. Pro většinu pléna bohužel nebylo určitým signálem k větší ostražitosti ani negativní vyjádření Úřadu pro ochranu osobních údajů k napadenému zákonu, podle něhož též neexistují dostatečné záruky k ochraně práva na ochranu osobních údajů a soukromí dotčených osob, které by měly být promítnuty do zpracování osobních údajů v řadě požadavků vyplývajících z platné úpravy ochrany osobních údajů jak na vnitrostátní, tak i na evropské úrovni. Úřad pro ochranu osobních údajů připomněl, že řada komerčních i jiných subjektů využívá či má zájem využívat tzv. profilování, tedy rozlišování, které může být založeno i na využívání zdravotních údajů - při sjednávání úvěru či pojištění, hledání zaměstnání. Historie rovněž ukazuje, že jednotlivci byli v minulosti a stále jsou předmětem společenské stigmatizace ve spojení například s psychickým či mentálním postižením.
17. Shrnujeme tedy, že většina Ústavního soudu tím, že fakticky vůbec nepřistoupila k provedení druhého kroku testu proporcionality (tzn. zejména nezkoumala nezbytnost shromažďování jednotlivých osobních údajů pro účely zdravotnických registrů a nezabývala se možností alternativních šetrnějších způsobů shromažďování dat) a uspokojila se akceptací ústavnosti napadené úpravy v její komplexnosti (bod 156), podle našeho názoru nedostála své povinnosti Ústavního soudu jako ochránce ústavnosti (čl. 83 Ústavy).
18. Právě v otázce ochrany soukromí přitom bývá často "ďábel skryt v detailu", a proto je třeba vždy pečlivě dbát a velmi konkrétně zkoumat jednotlivosti, aby nebylo jednotlivci zasahováno do jeho soukromí více, než je nezbytně nutné. Postup, kdy Ústavní soud hodnotí napadený zákon (resp. jeho některou část) jako celek a poté jeho dílčí ustanovení, je přitom zcela obvyklý, a proto i v této věci Ústavnímu soudu nic nebránilo, aby i při akceptaci systému jako celku přezkoumal (a případně zrušil) jeho některé dílčí parametry, včetně prohloubení jeho vazby na Listinu základních práv Evropské unie.
19. V rámci fungující dělby moci je nezadatelnou povinností Ústavního soudu kontrolovat zákonodárce (a také exekutivu) a tato kontrola musí být založena nejen na vzájemné spolupráci a respektu, ale také na nezbytné ostražitosti až nedůvěře. Základním účelem existence Ústavního soudu je totiž ochrana základních práv jednotlivce, která spočívá mimo jiné v detailní kontrole všech jejich jednotlivých potenciálních porušení; je nám proto velmi líto, že v této věci Ústavní soud své povinnosti ochránce práv jednotlivce nedostál.